Versão de demonstração: os dados deste texto ainda passam por revisão de fatos.
Neste artigo
Como o golpe funciona
O criminoso quer uma informação sua. Ele envia uma mensagem que imita uma loja, um banco, um órgão público ou alguém da sua lista de contatos. Em seguida, pede que você clique em um link, abra um arquivo ou responda com dados. Com o que recebe, ele entra na sua conta ou faz compras em seu nome.
O golpe pode chegar por e-mail, SMS, WhatsApp, Telegram ou ligação telefônica. Em todos esses canais, o truque é o mesmo: criar sensação de urgência e fazer a situação parecer normal.
Sinais de que a mensagem é falsa
Alguns sinais aparecem com frequência e merecem atenção antes de qualquer clique.
- Pressa ou ameaça. Conta bloqueada em poucas horas, compra não reconhecida, prazo que termina hoje.
- Link estranho. Antes de clicar, leia o endereço. Passe o dedo ou o cursor sobre o link para ver o destino real, sem abrir.
- Pedido de dados. Senha, código de verificação, número completo do cartão ou CPF por mensagem. Instituições sérias costumam não pedir essas informações desse jeito.
- Remetente que não bate. Endereço de e-mail com letras trocadas ou número desconhecido que diz ser de um banco ou de uma loja.
- Oferta boa demais. Prêmio, reembolso ou desconto que você não lembra de ter pedido.
Mensagem sem erro de português também pode ser golpe. Textos bem escritos são fáceis de produzir, então o erro de ortografia sozinho não prova nada.
Tipos comuns de phishing
- Por ligação. A pessoa se apresenta como atendente e pede dados ou o código que chegou por SMS. Não passe códigos por telefone.
- Site falso. Uma cópia de loja conhecida, com visual parecido, para roubar dados do cartão. Em alguns casos a compra é paga e o produto nunca chega.
- E-mail com anexo ou link. Pede para você abrir um arquivo ou confirmar um cadastro. O anexo pode instalar um programa malicioso no aparelho.
O que fazer se você clicou ou informou dados
- Troque a senha da conta afetada, começando pelo e-mail. O e-mail costuma dar acesso às outras contas, como redes sociais e lojas.
- Troque as senhas repetidas. Se a mesma senha estava em outros sites, troque nesses lugares também.
- Avise o banco ou a operadora pelo canal oficial. Use o número do verso do cartão ou o aplicativo que você já tem instalado, nunca o contato da mensagem. Peça o bloqueio do cartão, se for o caso.
- Confira compras e transferências. Conteste o que você não reconhece.
- Ative a verificação em duas etapas. Assim, mesmo com a senha em mãos, o criminoso precisa de um segundo código para entrar.
- Guarde a mensagem. Não apague. Prints e o endereço usado ajudam o banco e a polícia.
Se você só abriu o link e não digitou nada, o risco costuma ser menor. Mesmo assim, observe se a página pediu login ou download.
Erros comuns
- Achar que só quem é descuidado cai. O golpe é feito para parecer normal, com logotipo copiado e linguagem de atendimento.
- Clicar em "cancelar" dentro da mensagem. Cancelamentos e estornos devem ser feitos pelo app ou pelo site oficial, digitado por você.
- Passar código por SMS para quem liga. Código de verificação é senha de uso único. Quem pede o código está tentando entrar na sua conta.
- Apagar a mensagem antes de checar. Você perde a prova e não consegue informar o banco com detalhes.
- Confiar só no nome da empresa. Golpista usa o nome e o visual de uma marca conhecida.
Como se proteger no dia a dia
Algumas medidas simples reduzem bastante o risco. Use senhas diferentes para cada conta e, se possível, um gerenciador de senhas. Ative a verificação em duas etapas nas contas principais, como e-mail, banco e redes sociais. Mantenha o celular e os aplicativos atualizados. Para comprar ou entrar em um serviço, digite o endereço por conta própria ou use o app oficial, em vez de seguir o link da mensagem.
Em empresa, a regra vale para todos. Antes de pagar um boleto ou trocar a conta bancária de um fornecedor, confirme por outro canal que o pedido é real.
Quando procurar ajuda
Procure o banco, a operadora ou a loja se você entregou dados de cartão, perdeu o acesso a uma conta ou viu uma cobrança que não reconhece. Registre um boletim de ocorrência se houve prejuízo. Para entender os tipos de golpe e o que fazer em cada caso, a Cartilha de Segurança para Internet, do CERT.br, tem fascículos sobre o tema.
Fonte: Cartilha de Segurança para Internet, CERT.br (cartilha.cert.br). Verificado em 28 de outubro de 2026.
Em outros Mundos
Se a conta foi invadida, o próximo passo costuma ser recuperar o acesso. Veja como recuperar senha de Instagram ou e-mail.
Tudo sobre
Perguntas frequentes
O que é phishing?
Phishing é um golpe em que o criminoso se passa por empresa, banco, órgão público ou conhecido para convencer a vítima a entregar senhas, dados de cartão ou códigos de verificação. A mensagem costuma chegar por e-mail, SMS, WhatsApp ou ligação. O nome faz trocadilho com a palavra pescar, porque a isca é lançada para fisgar quem morder.
Phishing é o mesmo que golpe por WhatsApp?
Não exatamente. Phishing é a técnica de enganar para roubar dados, e ela pode aparecer em qualquer canal. O WhatsApp é só um dos canais possíveis, e o mesmo truque chega por e-mail, SMS, Telegram e ligação. O que define o golpe é o pedido de informação ou o link falso, não o aplicativo onde a mensagem chegou.
Como saber se um e-mail é phishing?
Confira o endereço de quem enviou, passe o cursor sobre o link sem clicar e desconfie de pressa e de ameaça. Se a mensagem pede senha, código ou dados de cartão, pare. Instituições sérias costumam não pedir esses dados por mensagem. Na dúvida, entre no site ou no app oficial digitando o endereço por conta própria.
Posso cair em phishing mesmo sendo cuidadoso?
Sim. O golpe é feito para parecer normal, com logotipo copiado e linguagem de atendimento. Quem sabe identificar os sinais reduz as chances, mas ninguém está totalmente imune. Por isso vale ter uma rotina de checagem e ativar proteções como a verificação em duas etapas, que dificulta o uso de uma senha roubada.
Clicar no link de phishing já é perigoso?
Pode ser. Ao abrir o link, a página falsa pode pedir dados ou tentar instalar algo no aparelho. Se você só abriu e saiu, sem informar nada, o risco costuma ser menor. Ainda assim, observe se a página pediu login ou download, e troque a senha da conta caso tenha digitado algo.
O que faço se informei minha senha?
Troque a senha imediatamente, começando pelo e-mail, porque ele costuma dar acesso às outras contas. Se a mesma senha é usada em outros sites, troque também nesses lugares. Ative a verificação em duas etapas e confira se há acessos ou configurações estranhas, como outro número de recuperação.
Devo avisar o banco se entreguei dados do cartão?
Sim, e o quanto antes. Entre em contato pelo canal oficial, como o número no verso do cartão ou o aplicativo que você já usa, nunca pelo número informado na mensagem. Peça o bloqueio ou a troca do cartão e conteste as compras que você não reconhece.
Existe phishing por ligação?
Existe. Nesse caso, o golpista se apresenta como atendente de banco, loja ou órgão e pede dados ou o código recebido por SMS. A regra é simples: não passe códigos a ninguém por telefone. Se a ligação parecer séria, desligue e ligue de volta usando o número oficial que está no site ou no cartão.
Sites falsos são phishing?
Costumam ser. Um site falso copia o visual de uma loja conhecida para roubar dados de cartão ou fazer você pagar por um produto que nunca chega. Antes de comprar, digite o endereço da loja por conta própria, desconfie de preço muito abaixo do mercado e confira se o site tem contato e formas de pagamento claras.
Phishing pode atingir empresas?
Pode, e o funcionário pode ser o alvo. O golpista se passa por fornecedor, parceiro ou instituição financeira para obter senhas ou induzir um pagamento. Treinar a equipe para confirmar pedidos por outro canal, antes de pagar ou enviar dados, é uma das medidas mais simples de proteção.
Verificação em duas etapas protege do phishing?
Ajuda bastante, porque mesmo com a senha roubada o criminoso precisa de um segundo fator para entrar. Esse fator pode ser um código no app, uma chave ou uma confirmação no aparelho. Ele não impede todo golpe, por exemplo quando você mesmo aprova um acesso falso, mas reduz o risco de invasão.
Como denunciar um golpe de phishing?
Registre um boletim de ocorrência na polícia, guarde prints e o endereço ou número usado pelo golpista e avise a empresa imitada pelo canal oficial dela. Em e-mail, use a opção de marcar como spam ou phishing. Essas informações ajudam a rastrear e bloquear o golpe.
Qual é a principal regra contra phishing?
Não entregue senha, código, número de cartão ou dados pessoais por mensagem ou ligação que você não iniciou. Antes de agir, confirme pelo canal oficial da empresa. Desconfiar de pressa e de ameaça é o segundo passo mais útil, porque o golpe costuma depender de fazer você agir sem pensar.
Phishing pode ser feito com inteligência artificial?
Pode. Mensagens geradas com ferramentas podem não ter erros de português, então esse sinal sozinho não basta. Continuam úteis as pistas da origem do pedido, do endereço do link e da pressa. Se algo parece urgente demais, a melhor resposta é confirmar pelo canal oficial.
Qual é o primeiro passo ao suspeitar de phishing?
O primeiro passo é não responder nem clicar. Guarde a mensagem, sem apagar, para conferir depois e informar o banco ou a empresa. Depois, confirme o caso pelo canal oficial. Se já houve clique ou envio de dados, siga as etapas de troca de senha e de bloqueio do cartão.
Phishing e spam são a mesma coisa?
Não. Spam é mensagem indesejada, que costuma ser propaganda e pode ser apenas incômoda. Phishing é uma mensagem feita para enganar e roubar dados, com risco real de prejuízo. O phishing também costuma chegar sem pedido, como o spam, mas a intenção é outra.
Quando procurar ajuda profissional?
Procure ajuda se você perdeu acesso a contas importantes, se houve cobrança ou transferência não reconhecida ou se alguém usou seus dados em seu nome. Um técnico de informática pode revisar aparelhos e contas, e o banco ou a operadora pode orientar o bloqueio. Em caso de prejuízo, registre a ocorrência na polícia.
Referências
- Cartilha de Segurança para Internet, CERT.br. Disponível em: https://cartilha.cert.br/fasciculos/.
Fontes conferidas em 28 de outubro de 2026.